Spoofing

Was ist Spoofing?

Spoofing bezeichnet das Verschleiern der Herkunft einer E-Mail, sodass sie scheinbar von einer vertrauenswürdigen Quelle stammt, tatsächlich aber von anderer Stelle versendet wurde. Angreifer nutzen Spoofing, um Marken, Kollegen oder Dienstleister nachzuahmen und Empfänger dazu zu bringen, Zugangsdaten preiszugeben, Geld zu überweisen oder schädliche Anhänge zu öffnen. Gefälschte E-Mails untergraben das Vertrauen in E-Mail-Kommunikation und sind eine gängige Technik bei Phishing- und Business-E-Mail-Compromise-Angriffen.

Spoofing kann viele Formen annehmen: das Verändern der sichtbaren From-Adresse, das Fälschen des Envelope-Absenders in SMTP oder der Versand über Lookalike-Domains, die die echte Marke optisch nachahmen. Da Anzeigenamen in E-Mails leicht zu manipulieren sind und manche Mailsysteme die Authentifizierung nicht strikt durchsetzen, können gefälschte Nachrichten eine oberflächliche Prüfung überstehen, wenn keine korrekte Authentifizierung eingerichtet ist.

Wie Spoofing durchgeführt wird

Angreifer nutzen Schwächen in der Darstellung und Validierung von E-Mails aus. Zu den gängigen Spoofing-Techniken gehören:

• Gefälschte From-Header, damit die Nachricht scheinbar von einer legitimen Adresse stammt
• Cousin- oder Homoglyphen-Domains, die der echten Domain zum Verwechseln ähnlich sehen (zum Beispiel example-com statt example.com)
• Kompromittierung von Drittanbieter-Versendern oder Marketing-Plattformen, um E-Mails zu versenden, die deren Reputation erben
• Versand über kostenlose Webmail-Dienste, wobei der Anzeigename auf eine vertrauenswürdige Marke gesetzt wird
• Manipulation des Envelope-Absenders (Return-Path), um Bounce-Verarbeitung und Zustelldiagnosen zu steuern

Technisch nutzt Spoofing aus, dass SMTP standardmäßig keine starken Identitätsnachweise verlangt. Ohne konfigurierte und durchgesetzte SPF-, DKIM- und DMARC-Einträge haben Empfänger nur begrenzte Möglichkeiten, echte Nachrichten von Fälschungen zu unterscheiden.

Folgen für Sicherheit und Zustellbarkeit

Gefälschte Nachrichten führen oft zu unmittelbaren Verlusten und langfristigem Markenschaden. Typische Auswirkungen:

• Diebstahl von Zugangsdaten und Kontoübernahmen nach erfolgreichem Phishing
• Finanzbetrug durch nachgeahmte Rechnungen oder Zahlungsaufforderungen
• Vertrauensverlust bei Kunden, wenn Empfänger betrügerische Nachrichten im Namen der Marke erhalten
• Höhere Spam- und Phishing-Beschwerdequoten, die die Zustellung legitimer E-Mails in den Posteingang verschlechtern
• Regulatorische Risiken, wenn sensible Kundendaten offengelegt werden

Auch wenn Spoofing nur einen Teil der Empfänger trifft, können Reputationsschäden und Supportkosten erheblich sein. Mailbox-Provider behandeln Domains, die häufig gefälscht werden, zunehmend mit Vorsicht, was der Zustellbarkeit schadet, bis Authentifizierung und Markenschutz verbessert werden.

Strategien zur Erkennung und Abwehr

Ein wirksamer Schutz vor Spoofing kombiniert technische Kontrollen, betriebliche Praktiken und die Schulung der Nutzer.

• SPF-Einträge veröffentlichen und pflegen, die legitime Versand-IPs autorisieren
• Nachrichten mit DKIM signieren und sicherstellen, dass die Schlüssel gültig sind und planmäßig rotiert werden
• DMARC mit Alignment implementieren und nach der Validierung des Datenverkehrs zu Quarantäne oder Ablehnung übergehen
• Aggregierte DMARC-Berichte (rua) überwachen, um unbefugte Absender und Lookalike-Domains zu erkennen
• Risikoreiche Cousin-Domains registrieren und defensiv konfigurieren, um Missbrauch vorzubeugen
• BIMI einsetzen, um das sichtbare Vertrauen in authentifizierte Nachrichten zu erhöhen, wo dies unterstützt wird
• Mitarbeiter und Kunden schulen, Anfragen nach Zugangsdaten oder Zahlungen über alternative Kanäle zu verifizieren
• Mit Drittanbietern koordinieren, damit deren Versand-Infrastruktur mit den Richtlinien Ihrer Domain übereinstimmt

Wer DMARC zunächst im Überwachungsmodus einführt, kann legitime Versandquellen erfassen, bevor strikte Richtlinien durchgesetzt werden. Regelmäßige Prüfungen von DNS-Einträgen, Schlüsselzustand und Anbieterlisten verringern das Risiko, dass eine Fehlkonfiguration nach der Durchsetzung legitime E-Mails blockiert.

Spoofing und DMARCeye

DMARCeye konsolidiert Authentifizierungsdaten, um Spoofing-Versuche und unbefugte Absender über alle Mailbox-Provider hinweg sichtbar zu machen. Die Plattform korreliert SPF-, DKIM- und DMARC-Ergebnisse mit Versand-IPs, ASNs und Domains, um Nachahmungsmuster und risikoreichen Datenverkehr aufzudecken.

DMARCeye zeigt falsch ausgerichtete Signaturen, fehlende SPF-Includes und Lookalike-Domains auf, die Ihre Marke gefährden. Mit umsetzbaren Berichten und empfohlenen Gegenmaßnahmen können Teams Missbrauch schnell unterbinden, Richtlinien verschärfen und das Vertrauen in die Markenkommunikation wiederherstellen.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.